Nick Kathmann, CISO/CIO la LogicGate – Seria de interviuri

Nicholas Kathmann este Directorul de Securitate a Informațiilor (CISO) la LogicGate, unde conduce programul de securitate a informațiilor al companiei, supraveghează inovațiile de securitate a platformei și se implică cu clienții în gestionarea riscurilor de securitate cibernetică. Cu peste două decenii de experiență în IT și 18+ ani în securitate cibernetică, Kathmann a construit și condus operațiuni de securitate în întreprinderi mici și mari, precum și în companii din Fortune 100.

LogicGate este o platformă de risc și conformitate care ajută organizațiile să automatizeze și să scaleze programele lor de guvernanță, risc și conformitate (GRC). Prin produsul său principal, Risk Cloud®, LogicGate permite echipelor să identifice, să evalueze și să gestioneze riscurile de-a lungul întregii organizații, cu fluxuri de lucru personalizabile, insight-uri în timp real și integrări. Platforma susține o gamă largă de cazuri de utilizare, inclusiv risc terț, conformitate cu securitatea cibernetică și managementul auditului intern, ajutând companiile să construiască strategii de risc mai agile și mai rezistente.

În calitate de CISO și CIO la LogicGate, cum vedeți transformarea responsabilităților acestor roluri de către inteligența artificială în următorii 2-3 ani?

Inteligența artificială transformă deja ambele roluri, dar în următorii 2-3 ani, cred că vom asista la o creștere semnificativă a inteligenței artificiale agenților care au puterea de a reimagina modul în care abordăm procesele de afaceri în viața de zi cu zi. Orice ar fi putut fi trimis la un birou de asistență IT – cum ar fi resetarea parolelor, instalarea aplicațiilor și altele – poate fi gestionat de un agent de inteligență artificială. Un alt caz de utilizare critic va fi utilizarea agenților de inteligență artificială pentru a gestiona evaluările de audit tedioase, permițând CISO-urilor și CIO-urilor să prioritizeze cererile strategice.

Cum ar trebui să abordeze întreprinderile implementarea inteligenței artificiale, menținând în același timp o poziție de securitate puternică, având în vedere concedierile și tendințele de dereglementare în domeniul securității cibernetice?

În timp ce asistăm la o tendință de dereglementare în Statele Unite, reglementările sunt de fapt consolidate în UE. Prin urmare, dacă sunteți o întreprindere multinațională, anticipați că veți trebui să respectați cerințele de reglementare globale privind utilizarea responsabilă a inteligenței artificiale. Pentru companiile care operează doar în Statele Unite, cred că este important pentru acestea să creeze politici solide de guvernanță a inteligenței artificiale și să mențină un anumit nivel de supraveghere umană în procesul de implementare, asigurându-se că nimic nu scapă de sub control.

Care sunt cele mai mari puncte oarbe pe care le vedeți astăzi în ceea ce privește integrarea inteligenței artificiale în cadrul existent de securitate cibernetică?

Deși există câteva domenii pe care le pot menționa, cel mai impactant punct orb ar fi locul în care se află datele și unde sunt transmise. Introducerea inteligenței artificiale va face supravegherea în acea zonă și mai dificilă. Furnizorii permit funcții de inteligență artificială în produsele lor, dar aceste date nu ajung întotdeauna direct la modelul/vânzătorul de inteligență artificială. Acest lucru face ca uneltele tradiționale de securitate, cum ar fi DLP și monitorizarea web, să fie efectiv oarbe.

Ați spus că majoritatea strategiilor de guvernanță a inteligenței artificiale sunt “tigri de hârtie”. Care sunt ingredientele de bază ale unui cadru de guvernanță care funcționează cu adevărat?

Când spun “tigri de hârtie”, mă refer în mod specific la strategiile de guvernanță în care doar o echipă mică cunoaște procesele și standardele, și acestea nu sunt impuse sau înțelese în întreaga organizație. Inteligența artificială este foarte pătrunzătoare, afectând fiecare grup și fiecare echipă. Strategiile “unul pentru toți” nu vor funcționa. Un departament de finanțe care implementează funcții de inteligență artificială în sistemul ERP este diferit de un departament de produs care implementează o funcție de inteligență artificială într-un anumit produs, și lista continuă. Ingredientele de bază ale unui cadru de guvernanță puternic variază, dar organizațiile consultative precum IAPP, OWASP, NIST și altele au cadre bune pentru determinarea a ceea ce trebuie evaluat. Partea cea mai dificilă este stabilirea când cerințele se aplică fiecărui caz de utilizare.

Cum pot companiile evita deriva și degradarea modelului de inteligență artificială și asigura utilizarea responsabilă în timp, fără a supraingenia politica?

Deriva și degradarea sunt doar o parte a utilizării tehnologiei, dar inteligența artificială poate accelera semnificativ procesul. Dar dacă deriva devine prea mare, vor fi necesare măsuri corective. O strategie de testare cuprinzătoare care caută și măsoară acuratețea, prejudiciul și alte semne de avertizare este necesară în timp. Dacă companiile vor evita prejudiciul și deriva, trebuie să înceapă prin a se asigura că au instrumentele necesare pentru a identifica și măsura acestea.

Care este rolul jurnalelor de modificări, actualizărilor limitate de politică și buclelor de feedback în timp real în menținerea guvernanței agile a inteligenței artificiale?

Deși joacă un rol în acest moment pentru a reduce riscul și răspunderea furnizorului, buclele de feedback în timp real împiedică capacitatea clienților și utilizatorilor de a efectua guvernanța inteligenței artificiale, especially dacă schimbările în mecanismele de comunicare au loc prea frecvent.

Care sunt îngrijorările dvs. cu privire la prejudecata și discriminarea inteligenței artificiale în subevaluarea sau evaluarea creditului, în special cu serviciile “Cumpără acum, plătește mai târziu” (BNPL)?

Anul trecut, am discutat cu un cercetător de inteligență artificială/învățare automată de la o mare bancă multinațională care experimentase cu inteligența artificială/LLM-uri în modelele de risc. Modelele, chiar și atunci când au fost antrenate pe seturi de date mari și precise, au luat decizii surprinzătoare și nefondate pentru a aproba sau refuza subevaluarea. De exemplu, dacă cuvintele “credit excelent” au fost menționate într-un transcript de chat sau comunicări cu clienții, modelele au refuzat, în mod implicit, creditul – indiferent dacă clientul a spus-o sau angajatul băncii a spus-o. Dacă inteligența artificială va fi utilizată, băncile au nevoie de o supraveghere și răspundere mai bună, iar “surprizele” acestea trebuie minimizate.

Care este opinia dvs. despre modul în care ar trebui să audităm sau să evaluăm algoritmii care iau decizii cu risc ridicat – și cine ar trebui să fie responsabil?

Acest lucru se referă la modelul de testare cuprinzător, unde este necesar să testăm și să evaluăm în mod continuu algoritmii/modelul în timp real. Acest lucru poate fi dificil, deoarece rezultatele modelului pot avea rezultate dorite care necesită identificarea de către oameni a valorilor extreme. Ca exemplu bancar, un model care refuză toate creditele va avea o evaluare de risc excelentă, deoarece niciun credit pe care îl subevaluatează nu va ajunge la plată. În acest caz, organizația care implementează modelul/algoritmul ar trebui să fie responsabilă pentru rezultatul modelului, la fel cum ar fi dacă oamenii ar lua decizia.

Cum sunt instrumentele de inteligență artificială rebotezate atât peisajul de risc, cât și subevaluarea asigurărilor în sine?

Instrumentele de inteligență artificială sunt excelente la diseminarea unor cantități mari de date și la găsirea unor tipare sau tendințe. Pe partea clientului, aceste instrumente vor fi instrumentale în înțelegerea riscului real al organizației și gestionarea acelui risc. Pe partea subevaluatorului, aceste instrumente vor fi utile pentru a găsi inconstistențe și organizații care devin imature în timp.

Cum pot companiile utiliza inteligența artificială pentru a reduce proactiv riscul de securitate cibernetică și a negocia termeni mai buni pe piața asigurărilor de astăzi?

Astăzi, cel mai bun mod de a utiliza inteligența artificială pentru reducerea riscului și negocierea unor termeni de asigurare mai buni este de a filtra zgomotul și distracțiile, ajutându-vă să vă concentrați asupra riscurilor cele mai importante. Dacă reduceți aceste riscuri într-un mod cuprinzător, ratele dvs. de asigurare cibernetică ar trebui să scadă. Este prea ușor să vă pierdeți în volumul imens de riscuri. Nu vă lăsați împiedicați de încercarea de a aborda fiecare problemă atunci când concentrarea asupra celor mai critice poate avea un impact mult mai mare.

Care sunt câteva pași tactici pe care îi recomandați companiilor care doresc să implementeze inteligența artificială în mod responsabil, dar nu știu de unde să înceapă?

În primul rând, trebuie să înțelegeți care sunt cazurile dvs. de utilizare și să documentați rezultatele dorite. Toată lumea vrea să implementeze inteligența artificială, dar este important să gândiți mai întâi la obiectivele dvs. și să lucrați înapoi de acolo – ceva pe care cred că multe organizații au dificultăți astăzi. Odată ce aveți o înțelegere bună a cazurilor dvs. de utilizare, puteți cerceta diferitele cadre de inteligență artificială și înțelege care dintre controalele aplicabile contează pentru cazurile și implementarea dvs. Guvernanța puternică a inteligenței artificiale este, de asemenea, critică pentru afaceri, pentru atenuarea riscurilor și eficiență, deoarece automatizarea este la fel de utilă ca și datele de intrare. Organizațiile care utilizează inteligența artificială trebuie să o facă în mod responsabil, deoarece partenerii și prospectele solicită întrebări dificile despre risipa și utilizarea inteligenței artificiale. A nu cunoaște răspunsul poate însemna pierderea unor afaceri, afectând direct linia de jos.

Dacă ați trebui să preziceți cel mai mare risc de securitate legat de inteligența artificială în următorii cinci ani, ce ar fi și cum putem pregăti astăzi?

Prezicerea mea este că, pe măsură ce inteligența artificială agenților este integrată în procese și aplicații de afaceri, atacatorii se vor implica în fraudă și abuz pentru a manipula acești agenți în vederea obținerii de rezultate dăunătoare. Am văzut deja acest lucru în manipularea agenților de asistență pentru clienți, rezultând în acorduri și rambursări neautorizate. Actorii amenințători au utilizat trucuri de limbaj pentru a ocoli politicile și a interfera cu procesul de luare a deciziilor al agentului.

Mulțumim pentru acest interviu excelent, cititorii care doresc să afle mai multe despre LogicGate pot vizita site-ul lor web.